SEC4YOU hat im Rahmen eines Penetrationstests drei kritische Schwachstellen in Sage DPW entdeckt, einer weit verbreiteten HR-Software. Die Lücken wurden gemäß den Vorgaben der MITRE Corporation als CVE-Einträge registriert.
HR-Software ist das Herzstück vieler Unternehmen – sie verarbeitet hochsensible Personaldaten und muss deshalb besonders zuverlässig geschützt sein. Das Unternehmen Sage ist seit über 50 Jahren am österreichischen Markt aktiv und hat sich zu einem führenden Anbieter für HR-Software im Land entwickelt. Bei einem durch SEC4YOU durchgeführten Penetrationstest im Auftrag eines Kunden entdeckten unsere Experten drei gravierende Schwachstellen in der der weit verbreiteten Lösung Sage DPW. Die Lücken wurden gemäß den Vorgaben der MITRE Corporation als offizielle CVEs registriert und öffentlich gemacht, damit Betreiber schnell reagieren können.
Die entdeckten Schwachstellen
Die erste Schwachstelle, CVE-2025–51532, erlaubte es, ohne jede Anmeldung direkt auf den Datenbank-Monitor von Sage DPW zuzugreifen. Mit wenigen Klicks konnten Live-Abfragen, Tabellennamen und Indexstatistiken eingesehen werden – ein gefundenes Fressen für jeden Angreifer, der sich auf gezielte Folgeattacken vorbereiten will.
Bei der zweiten Lücke, CVE-2025–51533, reichte schlichtes Durchprobieren von URL-Mustern wie „A‑0001.htm“ bis „A‑9999.htm“, um auf interne Formulare und Suchfunktionen zu stoßen, die eigentlich nur für angemeldete Nutzer bestimmt sind. In manchen Fällen reichte der bloße Aufruf dieser Seiten, um Funktionen mit erhöhten Berechtigungen auszuführen.
Schließlich gab es, registriert unter CVE-2025–51531, noch ein XSS-Problem im Verwaltungsmodul: Über den Parameter „tabfields“ ließ sich schädliches JavaScript einschleusen, das beim Öffnen eines manipulierten Links im Browser eines Administrators ausgeführt wurde. Session-Hijacking, Identitätsdiebstahl oder Phishing-Angriffe wären so nur einen Klick entfernt gewesen.
Sage hat auf diese Funde reagiert und ein Update auf Version 2025_06_000 bereitgestellt.
Lob und Kritik am Prozess bei Sage
Wir möchten betonen, dass Sage zu Beginn offen für einen technischen Austausch war und sich am Prozess der koordinierten Offenlegung beteiligt hat. Doch der Weg zur Behebung verlief nicht reibungslos. In mehreren Punkten wich der Ablauf von internationalen Standards wie ISO/IEC 29147:2018 ab.
So wurde unter anderem die Identität unseres Kunden zur Bedingung für den Zugang zu Patches gemacht – ein klarer Verstoß gegen gängige Vertraulichkeitsprinzipien. Informationen zu den behobenen Versionen waren teils widersprüchlich, einseitige Retests verzögerten die Validierung, und der meldende Sicherheitsexperte wurde nicht proaktiv informiert, als ein Fix veröffentlicht wurde. Auch in den offiziellen Versionshinweisen fehlten klare Angaben zu den Sicherheitsänderungen.
Diese Stolpersteine führten zu Verzögerungen und nahmen dem Prozess ein Stück der Transparenz, die für eine effektive Sicherheitsarbeit so wichtig ist. Wir von SEC4YOU hoffen, dass Hersteller künftig stärker auf internationale Best Practices setzen, um Schwachstellen nicht nur schnell, sondern auch nachvollziehbar zu beheben.
Was Sie als betroffenes Unternehmen jetzt tun sollten
Für Betreiber von Sage DPW gibt es nur eine sinnvolle Maßnahme: sofort auf die neueste Version aktualisieren und die Wirksamkeit des Patches sorgfältig prüfen. HR-Daten sind für Cyberkriminelle ein hochattraktives Ziel, und jede Lücke, die ungenutzt bleibt, ist ein Einfallstor.
Dieser Fall zeigt, wie wertvoll unabhängige Sicherheitsprüfungen sind – und dass eine gute Zusammenarbeit zwischen Informationssicherheitsexperten und Herstellern entscheidend ist. SEC4YOU stellt nicht nur Schwachstellen fest, sondern sorgt mit der Veröffentlichung von CVEs auch dafür, dass Risiken transparent werden und Unternehmen rechtzeitig reagieren können.
Verlinkungen:
https://www.cve.org/CVERecord?id=CVE-2025–51531 Severity Medium
https://www.cve.org/CVERecord?id=CVE-2025–51532 Severity High
https://www.cve.org/CVERecord?id=CVE-2025–51533 Severity Medium
Die technische Detailbeschreibung zu den dokumentierten Schwachstellen ist auf der Pentest-Webseite von SEC4YOU abrufbar: https://www.sec4you-pentest.com/schwachstellen/
